PT-2021-18026 · Unknown · Invoiceplane

Publicado 2021-05-10 · Atualizado 2021-05-19 · CVE-2021-29022

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

**Nome do software vulnerável e versões afetadas:

InvoicePlane versão 1.5.11

Descrição:

O problema diz respeito ao recurso de upload do InvoicePlane, que expõe o caminho completo do diretório de upload de arquivos.

Recomendações:

Para o InvoicePlane versão 1.5.11, considere restringir o acesso ao recurso de upload até que uma correção esteja disponível. Como solução temporária, revise e modifique as permissões do diretório de upload de arquivos para minimizar possíveis explorações. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2021-29022

Produtos afetados

Invoiceplane

Referências · 4

• 🔥 https://notnnor.github.io/research/2021/03/17/full-path-discloure-in-invoiceplane.html · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2021-29022 · Nota de Segurança
• https://t.me/cvenotify/14666 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-29022 · Aviso do Fabricante